Pas convaincues par la grille de notation dévoilée par Bruxelles en fin d’année dernière, des entreprises européennes du cloud ont lancé leur propre référentiel pour des services infonuagiques « souverains et résilients ». Les fournisseurs ayant décroché leur badge ont fait l’objet d’audits approfondis.

Un badge rouge pour les fournisseurs de cloud « souverains », un bleu pour les entreprises « résilientes », et des chevrons vert et gris pour préciser respectivement l’impact environnemental de l’entreprise et son recours à du code open-source.

Ces logos vont fleurir chez 40 services (cloud public, stockage, Kubernetes) ayant franchi la course d’obstacles du cadre mis en place par le CISPE (Cloud Infrastructure Service Providers in Europe), le lobby des entreprises européennes du cloud.

Ce framework a été « développé, défini et testé exclusivement par des fournisseurs européens d’infrastructures cloud » pour certifier les garanties des entreprises en matière de souveraineté et de résilience. Le CISPE explique que le marché aujourd’hui est inondé d’offres « souveraines » non vérifiées : difficile dans ces conditions pour les clients de « comprendre ce qu’ils achètent réellement ».

Il n’en reste pas moins un problème de taille : que veut dire exactement souveraineté. Si tout le monde s’accorde plus ou moins sur les grandes lignes, les visions peuvent diverger dans les détails. Pour le Conseil d’État par exemple, la souveraineté « est historiquement et juridiquement la capacité d’exercer le « dernier mot », la liberté de choisir […] sans dépendre d’aucune autorité supérieure ».

• La souveraineté en 10 questions (version courte, version longue)

Question de badges

Pour l’organisation, les définitions officielles de la souveraineté restent floues, et les méthodes d’évaluation manquent de transparence. Elle affirme que « les clients doivent pouvoir savoir si les services cloud sont protégés contre des ingérences juridiques étrangères (« Trump proof »), ou s’ils présentent des risques en matière d’interruption de service et d’accès aux données ».

Le cadre du CISPE est une réponse directe à la grille de souveraineté du cloud mise en place en octobre 2025 par la Commission européenne. Destinée aux pouvoirs publics des États membres de l’UE pour évaluer le niveau de souveraineté d’un fournisseur de services infonuagiques, cette grille repose sur un système assez simple : huit critères (souveraineté stratégique, juridique et juridictionnelle, données et IA…) dont les poids sont modulés par un système de pondération.

Ces critères permettent d’établir une classification des fournisseurs (SEAL, pour « Sovereignty Effectiveness Assurance Levels ») : SEAL 4 représente le maximum possible pour une offre vertueuse, SEAL 0 correspond à une offre sans souveraineté.

Le problème de cette grille, soulevé à l’époque par le CISPE, est qu’une entreprise dépendant d’une juridiction étrangère (au hasard, les États-Unis) peut tout de même marquer des points ailleurs et finir avec une « bonne » note. Comme le faisait remarquer à Next Audrey Louail, co-présidente d’Ecritel, « le critère d’extraterritorialité devrait être une condition sine qua non. »

• Le score souverain européen ne convainc pas les opérateurs de cloud français

« Il existe un besoin urgent de transparence et d’un cadre auditable pour éviter toute forme de « souveraineté washing » », affirme le CISPE. D’où le lancement de ce cadre, qui introduit deux approches à la fois distinctes et complémentaires pour assurer les clients et les autorités publiques qu’une offre « garantisse un contrôle effectif des données, des infrastructures, des charges de travail et des opérations », au-delà d’un macaron en cybersécurité qui ne suffit pas.

Souverain, résilient, ou les deux ?

Le référentiel du CISPE contient donc deux approches « distinctes mais complémentaires » : souveraine et résiliente. La première concerne les services détenus, gouvernés et exploités au sein de la juridiction concernée. « Les puissances étrangères ne disposent d’aucun moyen, ni juridique ni technique, d’y accéder, d’interférer ou de les interrompre ». C’est ce que l’organisation appelle un contrôle « par conception ».

La seconde concerne les services sur lesquels le client conserve un contrôle effectif grâce à des garanties techniques et opérationnelles solides, même en présence d’éléments non souverains (une approche dite « par les capacités »). Parmi les garanties : le chiffrement géré par le client, la portabilité, les sauvegardes indépendantes, la possibilité de changer de fournisseur ou de redéployer les charges de travail.

« La souveraineté vise à prévenir le risque, la résilience permet au client d’y faire face », résume le CISPE qui assure que le référentiel résilient impose des contraintes telles qu’il n’autorise pas l’installation d’une porte dérobée. Lorsque des services pleinement souverains ne sont pas encore disponibles, « des alternatives résilientes peuvent constituer des solutions légitimes et efficaces pour les clients », indique encore le groupe.

Ce référentiel s’aligne avec le niveau 3 de Gaia-X, le plus haut palier de cette infrastructure européenne de données lancée en 2020 et qui a depuis connu quelques départs tonitruants. Le framework des fournisseurs étend cependant la notion de souveraineté au-delà de l’UE. 

Un service cloud hébergé au Japon par un fournisseur japonais pourrait obtenir un label « souverain au Japon », par exemple. Et s’il n’est pas souverain sur le Vieux Continent, il pourrait tout de même décrocher un label « résilient en Europe » en démontrant son interopérabilité et la présence de ressources locales pour réduire les sollicitations d’accès aux données depuis l’étranger. Pas question donc d’exclure certains services du marché : il s’agit de « renforcer la confiance dans le contrôle des données et des charges de travail dans le cloud ».

Les fournisseurs intéressés devront faire réaliser un audit auprès d’un tiers accrédité pour obtenir la certification et le droit de déclarer un service comme souverain ou résilient.

SecNumCloud 3.2 en France, tentative ratée avec EUCS High+ en Europe

Cette annonce arrive quelques jours après que Bruxelles attribue 180 millions d’euros de contrats à des acteurs du cloud, notamment des Français. Dans le lot, l’opérateur belge Proximus avec S3NS, la co-entreprise Thales et Google, ce qui avait fait bondir Francisco Mingorance, la secrétaire générale du CISPE : « Reconnaître S3NS, qui exploite la technologie cloud de Google, comme « souveraine » est clairement une erreur stratégique et menace d’institutionnaliser le blanchiment de souveraineté au plus haut niveau ».

• Bruxelles flèche 180M€ de contrats vers les acteurs du cloud, les Français en bonne place

En France, il existe déjà une qualification permettant de s’assurer d’une étanchéité aux lois extraterritoriales (américaines et chinoises pour ne citer qu’elles) : le référentiel SecNumCloud de l‘ANSSI, dont la version 3.2 de 2022 intégre « principalement des critères de protection vis-à-vis du droit extra-européen ». Pour rappel, S3NS a obtenu sa qualification fin 2025 par l’ANSSI.

Au niveau européen, EUCS (European Union Cybersecurity Certification Scheme for Cloud Services dans sa version longue) est un projet porté par l’agence européenne pour la cybersécurité. Il prévoyait quatre niveaux, dont High+ qui devait être calqué sur SecNumCloud, mais il n’en reste désormais que trois.

Alain Garnier, patron de Jamespot, ne cachait pas son agacement : « Le Cybersecurity Act 2 acte une chose très claire : EUCS parlera sécurité. Pas souveraineté […] La Commission européenne ferme la porte aux critères juridiques type Cloud Act. La tech américaine respire. La France grimace ». L’Allemagne et les Pays-Bas jugeaient ce seuil High+ trop exclusif et susceptible de freiner l’innovation.

• Cybersecurity Act 2 en Europe : « EUCS parlera sécurité. Pas souveraineté. »
• La souveraineté numérique face à la réalité du terrain